Chrome počinje ograničavati pristup privatnim mrežama

20.01.2022. / 08:47

Google kaže da će njegov preglednik Chrome uskoro blokirati internetske web stranice od upita i interakcije sa uređajima i poslužiteljima koji se nalaze unutar lokalnih privatnih mreža, navodeći sigurnosne razloge i ranu zloupotrebu zlonamjernog softvera.

„Chrome će početi slati CORS zahtjev za predulaz prije svakog zahtjeva privatne mreže za podizvor, koji traži izričito dopuštenje od ciljnog poslužitelja. Ovaj zahtjev za pretprogramiranje imat će novo zaglavlje, Access-Control-Request-Private-Network: true, a odgovor na njega mora sadržavati odgovarajuće zaglavlje, Access-Control-Allow-Private-Network: true.“ – navode Eiji Kitamura i Titouan Rigoudy iz Googlea.

Promjena će se realizovati kroz implementaciju nove W3C specifikacije pod nazivom Private Network Access (PNA) koja će biti uvedena u prvoj polovini godine.

Nova specifikacija PNA dodaje mehanizam unutar preglednika Chrome putem kojeg internetske stranice mogu tražiti dopuštenje od sistema unutar lokalnih mreža prije uspostave veze. Ovo će biti jedna od najvažnijih sigurnosnih značajki koja će biti dodana Chromeu posljednjih godina.

Kroz prethodnih nekoliko decenija, internet je postao ranjiv na klasu napada koji koriste preglednike kao plato za pristup ruterima i drugim osjetljivim uređajima na ciljanoj mreži. Sa ovim novim potezom Google konačno poduzima nešto po tom pitanju.

Ono što se ranije dešavalo jeste da su hakeri koristili zlonamjerne web stranice koje su sadržavale kod koji pokušava pristupiti IP adresi kao što je 192.168.0.1, što je tipična adresa za većinu administrativnih panela rutera i dostupna samo s lokalne mreže.

Kada korisnici/e pristupe ovoj vrsti zlonamjernog web mjesta, njihov preglednik može postaviti automatizirani zahtjev svom ruteru bez korisnikova znanja, odašiljući zlonamjerni kod koji može zaobići autentifikaciju rutera i izmijeniti same postavke rutera. Ovakvi napadi su bili česta pojava u prethodnim godinama.

Varijacije ovih napada sa interneta na lokalnu mrežu također mogu ciljati druge lokalne sisteme, kao što su interni poslužitelji, domenski kontroleri, vatrozide (firewall) ili čak lokalno hostirane aplikacije (putem http://localhost domene ili drugih lokalno definiranih domena).

Pod pretpostavkom da specifikacija PNA u potpunosti stupi na snagu, Chrome više neće dopuštati takve veze osim ako uređaji unutar privatne mreže to izričito ne dopuštaju. Evo dva dijagrama koji pokazuju kako to radi.

sa

sa

Izvor: arstechnica.com

Prema Googleu, verzija PNA već je isporučena s Chromeom 96, objavljenom u oktobru 2021. godine, ali puna podrška bit će uvedena u dvije faze ove godine, sa izdanjima Chrome 98 (početkom marta) i Chrome 101 (krajem maja).

Ne očekuje se da bi nakon ovog uvođenja bilo koji proboj mogao pogoditi web stranicu, ali iz Googlea savjetuju da ažurirate putanje zahtjeva na koje se to odnosi kako biste osigurali da vaša web lokacija nastavi funkcionisati prema očekivanjima.

Na raspolaganju su vam dva rješenja, o kojima više možete saznati u blogu sa objašnjenjima oko novih PNA promjena.

Ako zahtjev za pretprogramiranje ne uspije, konačni zahtjev će i dalje biti poslan, ali će se upozorenje pojaviti na ploči sa problemima DevTools.

"Ovo vam može omogućiti da testirate hoće li vaša web stranica raditi nakon druge faze našeg plana uvođenja. Pogreške se mogu dijagnosticirati na isti način kao i upozorenja pomoću gore navedenih ploča DevTools." – navode u nedavnom blogu, Googleov inženjer Titouan Rigoudy i Googleov programer Eiji Kitamura.

Ako i kada Google bude uvjeren da neće biti masovnih poremećaja, zahtjevi prije leta morat će se odobriti kako bi prošli.

Od novih sigurnosnih značajki će imati koristi i mediji, budući da su se proboji u medijske mreže upravo znali dešavati na pomenute načine. Veća zaštita će osigurnati i veću sigurnost rada kroz interakcije sa uređajima i poslužiteljima koji se nalaze unutar lokalnih privatnih mreža.

Iako ova promjena naizgled nije važna za novinare/ke i medije, ona ima višestruku važnost. Prije svega na ovaj način će novinari/ke, pogotovo oni u polju istraživačkog novinarstva, biti sigurniji da kada vrše istraživanja na webu dolaze do pravih izvora umjesto da ih neko, ko je preuzeo njihovu lokalnu infrastrukturu, preusmjerava na stranicu koja iako liči na izvor koji ste tražili ustvari vodi na izvor gdje biste mogli preuzeti neki neželjeni virus. Također omogućava da članovi/ce vaše čitalačke zajednice mogu biti sigurni da zaista dolaze na vašu stranicu kada žele pročitati pouzdanu informaciju od medija kojem vjeruju. Na ovaj način ćete dodatno zaštiti svoj brend od loših utjecaja koji se mogu desiti ukoliko neko poželi da iskoristi vašu vidljivost i nanijeti nepopravljivu štetu vašem mediju. Dok naravno svi mediji ne koriste samo Chrome, s obzirom da se ovdje radi o W3C preporuci, nadamo se da će i ostali internet preglednici uvesti ove promjene i na taj način bolje zaštiti kako novinare/ke tako i njihovu publiku i čitalačku zajednicu.  

Ocijenite kvalitet članka